Ketika pemindai keamanan melaporkan puluhan atau ratusan kerentanan, memperbaiki semuanya sekaligus sering kali tidak realistis. Tim perlu menentukan celah mana yang harus ditangani lebih dahulu tanpa mengabaikan risiko penting. Dua metrik yang sering membantu adalah Common Vulnerability Scoring System (CVSS) dan Exploit Prediction Scoring System (EPSS). Namanya mirip dalam laporan keamanan, tetapi keduanya menjawab pertanyaan yang berbeda.
CVSS menggambarkan tingkat keparahan, sedangkan EPSS memperkirakan peluang eksploitasi dalam 30 hari. Gabungkan keduanya dengan konteks aset dan bukti eksploitasi agar keputusan patch lebih terarah.
Apa Itu CVSS?
CVSS adalah kerangka terbuka untuk menggambarkan tingkat keparahan kerentanan. Skor umumnya berada pada rentang 0,0 hingga 10,0. Perhitungannya mempertimbangkan karakteristik teknis seperti jalur serangan, kompleksitas, hak akses yang dibutuhkan, interaksi pengguna, serta dampak terhadap kerahasiaan, integritas, dan ketersediaan sistem.
Skor tinggi berarti dampak potensial atau kondisi eksploitasi kerentanan dinilai serius menurut metrik CVSS. Namun, skor itu sendiri tidak menyatakan seberapa sering penyerang sedang mencoba mengeksploitasinya. Kerentanan dengan skor tinggi pada komponen yang tidak dapat dijangkau dari jaringan publik mungkin memiliki urgensi berbeda dari celah yang sedikit lebih rendah pada layanan penting yang terbuka ke internet.
CVSS memiliki versi dan kelompok metrik. Saat membaca laporan, periksa versi, vektor penilaian, dan sumber skor—jangan hanya melihat angka ringkasnya. Dokumentasi resmi dan kalkulator tersedia melalui FIRST CVSS.
Apa Itu EPSS?
EPSS memperkirakan probabilitas sebuah kerentanan yang telah diberi pengenal CVE akan dieksploitasi di alam liar selama 30 hari berikutnya. Skornya berada pada rentang 0 hingga 1; misalnya, nilai 0,20 merepresentasikan estimasi probabilitas 20 persen dalam cakupan model tersebut, bukan tingkat keparahan 20 persen. Skor EPSS dipublikasikan setiap hari, sehingga nilainya dapat berubah ketika sinyal dan pola eksploitasi berubah.
EPSS membantu mengurutkan banyak kerentanan berdasarkan kemungkinan eksploitasi saat waktu tim terbatas. Namun, skor itu bukan jaminan serangan pasti terjadi atau tidak akan terjadi. Nilai rendah tidak membuktikan sistem aman. Data, API, dan penjelasan metodologi tersedia di situs resmi EPSS dari FIRST.
Perbedaan CVSS dan EPSS
| Aspek | CVSS | EPSS |
|---|---|---|
| Pertanyaan utama | Seberapa parah kerentanan secara teknis? | Seberapa mungkin kerentanan dieksploitasi dalam 30 hari? |
| Hasil | Skor keparahan 0–10 | Estimasi probabilitas 0–1 |
| Kegunaan | Memahami dampak dan karakteristik kerentanan | Membantu memperkirakan tekanan eksploitasi |
| Batasan | Bukan ukuran langsung aktivitas eksploitasi | Bukan ukuran langsung besarnya dampak pada aset tertentu |
Keduanya bukan pesaing. CVSS membantu menjawab “seberapa buruk jika celah ini berhasil dimanfaatkan?”, sedangkan EPSS membantu menjawab “seberapa besar kemungkinan celah ini dicoba untuk dieksploitasi dalam waktu dekat?”.
Tambahkan Bukti Eksploitasi dan Konteks Aset
Jangan berhenti pada CVSS dan EPSS. Periksa apakah kerentanan tercantum dalam CISA Known Exploited Vulnerabilities (KEV) Catalog, katalog kerentanan yang diketahui telah dieksploitasi. Entri di katalog tersebut merupakan sinyal penting untuk penentuan prioritas, khususnya bagi organisasi yang memakai produk terdampak.
Nilai juga aset yang terpengaruh: apakah layanan dapat diakses dari internet, menyimpan data sensitif, mendukung proses bisnis kritis, atau menjadi jalur menuju sistem lain? Pertimbangkan versi yang benar-benar terpasang, ketersediaan patch, mitigasi sementara, dan apakah fitur rentan aktif. Cocokkan hasil pemindaian dengan inventaris perangkat lunak agar tim tidak memperbaiki versi yang sebenarnya tidak digunakan.
Untuk memahami komponen pihak ketiga yang mungkin membawa celah ke aplikasi, baca panduan Nazuaf tentang risiko serangan rantai pasok software. Inventaris komponen dan konteks penggunaan membantu mengubah laporan teknis menjadi daftar tindakan yang relevan.
Alur Praktis Menentukan Prioritas Patch
- Pastikan temuannya valid. Cocokkan CVE, produk, versi, dan advisori vendor. Singkirkan temuan yang tidak berlaku untuk konfigurasi atau versi yang dipakai, tetapi dokumentasikan alasannya.
- Catat tingkat keparahan. Ambil skor dan vektor CVSS dari sumber tepercaya, bukan hanya angka yang disalin oleh satu alat pemindai.
- Periksa EPSS terbaru. Gunakan skor terkini untuk membantu mengurutkan kemungkinan eksploitasi. Catat tanggal pengambilan skor karena nilainya dapat berubah.
- Periksa katalog eksploitasi. Cari CVE dalam katalog CISA KEV dan pantau advisori vendor atau pemberitahuan keamanan yang relevan.
- Sesuaikan dengan aset. Prioritaskan sistem penting, layanan yang terekspos, dan aset dengan dampak bisnis tinggi. Pertimbangkan segmentasi serta mitigasi yang telah diuji.
- Terapkan dan verifikasi perbaikan. Uji patch sesuai prosedur perubahan, pasang pada waktu yang tepat, lalu pindai ulang atau periksa versi untuk memastikan kerentanan tertangani.
- Catat keputusan. Simpan alasan penundaan, pemilik risiko, mitigasi sementara, tenggat, dan bukti verifikasi. Pengecualian harus ditinjau ulang, bukan dibiarkan tanpa batas.
Contoh: Skor Tinggi Tidak Selalu Berarti Nomor Satu
Bayangkan ada dua temuan hipotetis. Temuan A memiliki CVSS 9,8 tetapi EPSS 0,02, dan ditemukan pada sistem uji yang terisolasi. Temuan B memiliki CVSS 8,1, EPSS 0,70, tercantum dalam katalog eksploitasi, dan berada pada server produksi yang terbuka ke internet. Angka ini hanya ilustrasi, bukan data dari CVE nyata.
Temuan B mungkin perlu ditangani lebih dahulu karena ada sinyal eksploitasi dan paparan yang lebih besar. Temuan A tetap serius dan tidak boleh dilupakan; jadwalkan penanganannya sesuai kebijakan risiko. Jika Temuan A ternyata memengaruhi sistem kritis atau mitigasinya tidak memadai, urutannya bisa berubah. Prioritas ditentukan oleh gabungan bukti, bukan satu skor yang berdiri sendiri.
Kesalahan yang Perlu Dihindari
- Menganggap CVSS sebagai probabilitas serangan.
- Membaca EPSS sebagai kepastian bahwa serangan akan terjadi.
- Mengabaikan kerentanan dengan EPSS rendah tanpa mempertimbangkan dampak dan aset.
- Menggunakan skor lama tanpa mencatat tanggal pembaruan.
- Menunda patch tanpa pemilik risiko, mitigasi, atau tenggat peninjauan.
Kesimpulan
CVSS dan EPSS saling melengkapi: CVSS menggambarkan keparahan, sedangkan EPSS memperkirakan peluang eksploitasi dalam waktu dekat. Tambahkan katalog eksploitasi yang diketahui, paparan layanan, nilai aset, serta status patch untuk membuat urutan kerja yang masuk akal. Tidak ada satu rumus yang cocok untuk semua organisasi; keputusan akhir perlu disesuaikan dengan lingkungan dan toleransi risiko masing-masing.
Mulailah dari inventaris yang akurat, gunakan data mutakhir, verifikasi setiap perbaikan, dan dokumentasikan alasan ketika patch harus ditunda. Proses yang konsisten membantu tim memusatkan waktu pada kerentanan paling mendesak tanpa kehilangan jejak terhadap risiko lain.
Referensi: Dokumentasi CVSS dari FIRST, Exploit Prediction Scoring System (EPSS), dan Katalog CISA KEV.
PENGALAMAN BARU Coba tampilan baru Penasaran dengan pengalaman membaca Nazuaf versi modern? Coba tampilan baru yang dirancang agar nyaman dibaca dari ponsel dan pc. Buka versi modern dan lanjutkan membaca artikel ini. Jelajahi tampilan baru Nazuaf versi modern · Ketuk kartu untuk mencoba